მთავარი დასკვნა
შეადარეთ აღმოჩენის წყაროები, ტრაფიკის წესები და რეაგირების უფლებამოსილება.
მოკლე პასუხი და როლების შედარება
EDR ქსელური ეკრანი არ არის. ეკრანი პოლიტიკით წყვეტს ტრაფიკის გატარებას; EDR აჩვენებს ბოლო მოწყობილობაზე მომხდარს და გამოძიებასა და რეაგირებას ეხმარება. „EDR firewall“ მომწოდებელზე დამოკიდებული სახელია და შეიძლება ჰოსტის წესებს, ქსელიდან იზოლაციას ან სხვა ფუნქციას ნიშნავდეს.
| კრიტერიუმი | ქსელური ეკრანი | EDR |
|---|---|---|
| კონტროლის ადგილი | ქსელის საზღვარი, შიდა სეგმენტი ან ჰოსტი | აგენტის მქონე ბოლო მოწყობილობა |
| დაკვირვებული სიგნალები | ტრაფიკის მეტამონაცემები; აპლიკაციისა და შიგთავსის შემოწმება, სადაც მხარდაჭერილია | პროცესის, ფაილისა და ჰოსტის აქტივობა |
| ტრაფიკის პოლიტიკა | IP, პორტისა და პროტოკოლის წესები; აპლიკაციისა და მდგომარეობის შემოწმება შესაძლებლობებზეა დამოკიდებული | ჰოსტის ქსელური ეკრანის წესები მხოლოდ მხარდაჭერისას |
| გამოძიება და რეაგირება | ტრაფიკის გადაწყვეტილება და წესის ცვლილება | ჰოსტის მოვლენის კონტექსტი და მხარდაჭერილი რეაგირების მოქმედებები |
| პროდუქტზე დამოკიდებული გადაკვეთა | ჰოსტის ქსელური ეკრანი ქსელურ კარიბჭეს სრულად არ ცვლის | ქსელიდან იზოლაცია ქსელური ეკრანის პოლიტიკის ტოლფასი არ არის |
EDR და ქსელური ეკრანები სხვადასხვა კითხვას პასუხობს
ქსელური ეკრანი განსაზღვრავს, რომელი კავშირი შეიძლება ქსელში შევიდეს ან დატოვოს იგი. EDR ბოლო მოწყობილობის პროცესებსა და აქტივობას აჩვენებს საეჭვო ქცევის გამოსაძიებლად. განსხვავება აღსრულების წერტილსა და ხელმისაწვდომ ტელემეტრიაშია.
შეამოწმეთ პროდუქტის დონის გადაკვეთა
ზოგ EDR აგენტს ჰოსტის ეკრანის წესების მართვა შეუძლია, მაგრამ ეს უნივერსალური არ არის და ქსელური კარიბჭის ეკრანს არ უდრის. მომწოდებლის დოკუმენტაციაში შეამოწმეთ ლიცენზირება, მხარდაჭერილი OS‑ები, წესის წყარო, მართვა და ოფლაინ ქცევა. ნუ ჩათვლით, რომ პერიმეტრის პოლიტიკები ავტომატურად მეორდება.
გადაწყვიტეთ დაფარვის ხარვეზებით
ინტერნეტის საზღვრის, შიდა სეგმენტებისა და ბოლო მოწყობილობებისთვის ცალკე მოთხოვნები განსაზღვრეთ. შემდეგ არსებული ხელსაწყოები კავშირის ფილტრაციის, პროცესის ხილვადობის, გაფრთხილებისა და რეაგირების საჭიროებებს შეადარეთ. პილოტში დაადასტურეთ, რომ ბლოკირების წესები კანონიერ მუშაობას არ აფერხებს და ინციდენტის მოქმედებები მიკვლევადია.
კოორდინირებული რეაგირების მაგალითი
ივარჯიშეთ EDR‑ისა და ქსელური ეკრანის კოორდინირებულ რეაგირებაში: შეადარეთ სიგნალები, დაამტკიცეთ მოქმედებები და სერვისი აღადგინეთ. განხილვითი სავარჯიშოთი და ტექნიკური ტესტით შეაფასეთ აღმოჩენა და ჩვეულებრივ მუშაობაზე გავლენა.
დააკავშირეთ სიგნალები
EDR გაფრთხილება ქსელური ეკრანის კავშირის ჟურნალებსა და აქტივის კონტექსტს შეადარეთ.
აირჩიეთ ავტორიზებული კონტროლი
დანიშნულმა დამმტკიცებელმა ცალ-ცალკე გადაწყვიტოს მოწყობილობის იზოლაცია ან ანგარიშის წვდომის შეზღუდვა და ტრაფიკის წესის ცვლილება.
აღრიცხეთ გადაწყვეტილებები და მტკიცებულება
აღრიცხეთ მფლობელი, მოქმედებები, დრო და აუდიტის კვალი, შესაბამისი მტკიცებულებების შენარჩუნებით.
გადაამოწმეთ აღდგენა
საფრთხის მოგვარების შემდეგ შეამოწმეთ სერვისის მდგომარეობა და დროებითი იზოლაციისა და წესების მოხსნა დაამტკიცეთ.